在当今数字化时代，Web应用的安全性至关重要。Struts2作为一个广泛使用的Java Web开发框架，为开发者提供了便捷的开发方式，但同时也面临着各种安全风险，其中跨站脚本攻击（XSS）是较为常见且危害较大的一种。本文将详细介绍如何优化Struts2应用以防范XSS风险，保障应用的安全性。
一、XSS攻击概述
XSS（Cross-Site Scripting）即跨站脚本攻击，攻击者通过在目标网站注入恶意脚本，当用户访问该网站时，这些脚本会在用户的浏览器中执行，从而获取用户的敏感信息，如登录凭证、个人信息等。XSS攻击主要分为反射型、存储型和DOM型三种类型。反射型XSS攻击是指攻击者将恶意脚本作为参数注入到URL中，当用户访问包含该恶意参数的URL时，服务器将恶意脚本反射到响应页面中，从而在用户浏览器中执行。存储型XSS攻击是指攻击者将恶意脚本存储到服务器的数据库中，当其他用户访问包含该恶意脚本的页面时，脚本会在用户浏览器中执行。DOM型XSS攻击则是通过修改页面的DOM结构来注入恶意脚本。
二、Struts2中XSS攻击的常见场景
在Struts2应用中，XSS攻击的常见场景包括表单输入、URL参数、Cookie等。例如，当用户在表单中输入恶意脚本，服务器未对输入进行过滤就将其显示在页面上，就可能导致XSS攻击。另外，如果URL参数中包含恶意脚本，服务器直接将其作为页面内容输出，也会引发XSS攻击。
三、优化Struts2应用防范XSS风险的方法
1. 输入验证和过滤
对用户输入进行严格的验证和过滤是防范XSS攻击的重要手段。在Struts2中，可以使用拦截器来实现输入验证和过滤。以下是一个简单的拦截器示例：
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
public class XSSInterceptor extends AbstractInterceptor {
@Override
public String intercept(ActionInvocation invocation) throws Exception {
Object[] parameters = invocation.getInvocationContext().getParameters().values().toArray();
for (Object param : parameters) {
if (param instanceof String[]) {
String[] values = (String[]) param;
for (int i = 0; i < values.length; i++) {
values[i] = filterXSS(values[i]);
}
}
}
return invocation.invoke();
}
private String filterXSS(String input) {
if (input == null) {
return null;
}
input = input.replaceAll("<", "<");
input = input.replaceAll(">", ">");
input = input.replaceAll("\"", """);
input = input.replaceAll("'", "'");
input = input.replaceAll("/", "/");
return input;
}
}在struts.xml中配置该拦截器：
<interceptors>
<interceptor name="xssInterceptor" class="com.example.XSSInterceptor"/>
<interceptor-stack name="xssStack">
<interceptor-ref name="xssInterceptor"/>
<interceptor-ref name="defaultStack"/>
</interceptor-stack>
</interceptors>
<default-interceptor-ref name="xssStack"/>2. 输出编码
除了对输入进行过滤，还需要对输出进行编码，确保在页面上显示的内容不会被浏览器解析为脚本。在Struts2中，可以使用OGNL表达式的escapeHTML属性来进行输出编码。例如：
<s:property value="userInput" escapeHTML="true"/>
这样可以将用户输入的特殊字符转换为HTML实体，避免被浏览器解析为脚本。
3. 设置HTTP头信息
通过设置HTTP头信息，可以增强对XSS攻击的防范。例如，设置Content-Security-Policy（CSP）头信息可以限制页面可以加载的资源来源，从而防止恶意脚本的加载。在Struts2中，可以通过拦截器来设置HTTP头信息：
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
import javax.servlet.http.HttpServletResponse;
import org.apache.struts2.ServletActionContext;
public class CSPInterceptor extends AbstractInterceptor {
@Override
public String intercept(ActionInvocation invocation) throws Exception {
HttpServletResponse response = ServletActionContext.getResponse();
response.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self'");
return invocation.invoke();
}
}在struts.xml中配置该拦截器：
<interceptors>
<interceptor name="cspInterceptor" class="com.example.CSPInterceptor"/>
<interceptor-stack name="cspStack">
<interceptor-ref name="cspInterceptor"/>
<interceptor-ref name="defaultStack"/>
</interceptor-stack>
</interceptors>
<default-interceptor-ref name="cspStack"/>4. 使用安全的标签库
Struts2提供了一些安全的标签库，如s:textarea、s:textfield等，这些标签会自动对输入和输出进行编码，减少XSS攻击的风险。例如：
<s:textfield name="userInput" value="%{userInput}" />四、测试和监控
在优化Struts2应用防范XSS风险后，需要进行充分的测试和监控。可以使用专业的安全测试工具，如OWASP ZAP、Burp Suite等，对应用进行漏洞扫描，检测是否存在XSS漏洞。同时，要建立日志监控系统，记录用户的访问行为和异常信息，及时发现潜在的XSS攻击。
五、持续优化和更新
网络安全形势不断变化，新的XSS攻击手段也在不断出现。因此，要持续关注Struts2框架的安全更新，及时修复已知的安全漏洞。同时，要定期对应用进行安全评估和优化，不断提升应用的安全性。
总之，优化Struts2应用以防范XSS风险是一个系统工程，需要从输入验证、输出编码、HTTP头信息设置、使用安全标签库等多个方面入手，同时要进行充分的测试和监控，持续优化和更新。只有这样，才能有效保障Struts2应用的安全性，为用户提供一个安全可靠的Web应用环境。
